攻破密码密钥：FIDO2/WebAuthn 攻击面探索
2025-06-24
本文深入探讨了 FIDO2 密码密钥的安全性。作者通过逆向工程分析了商用硬件密钥和平台验证器，构建了一个无需内核驱动程序的软件验证器，模拟 FIDO2 设备，伪造并重放密码密钥签名以实现无头登录。文章详细介绍了攻击过程，包括捕获真实世界流量、解码 HID 握手、验证证明数据、构建软件 CTAP2 引擎以及利用 Chrome 内置的虚拟验证器。最终，作者成功实现了无需真实安全密钥即可登录的目标，并提出了相应的安全强化措施，例如强制执行签名计数器、限制 CDP 权限等，以增强密码密钥的安全性。